Pengembang Bitcoin Core mengungkap tiga celah keamanan baru yang ditemukan menggunakan teknologi kecerdasan buatan (AI). Dua di antaranya memungkinkan pihak berbahaya mengganggu operasional node Bitcoin hingga mengalami crash, sementara satu celah lainnya berkaitan dengan kerusakan data penyimpanan blockchain dalam kondisi tertentu.
Berdasarkan tiga laporan kerentanan yang diterbitkan pada Rabu (28/10/2026), seluruh masalah tersebut ditemukan melalui pemindaian otomatis menggunakan large language model (LLM) dalam Project Loupe, sebuah inisiatif penelitian keamanan perangkat lunak yang dikembangkan Elias Rohrer di Spiral.
Temuan ini kemudian divalidasi oleh Gregory Sanders sebelum disampaikan kepada tim keamanan Bitcoin Core. Pengembang telah merilis perbaikan melalui versi 29.5, 30.4, 31.2, dan 32.1, meskipun perlindungan terhadap salah satu celah masih memiliki keterbatasan pada sistem tertentu.
Pengungkapan tersebut kembali menyoroti pentingnya keamanan infrastruktur Bitcoin, terutama ketika semakin banyak pengguna dan institusi mengandalkan perangkat lunak node untuk memverifikasi transaksi secara independen.
Celah Bitcoin Core Bisa Membuat Node Kehabisan Memori
Salah satu kerentanan yang mendapat perhatian adalah CVE-2026-117350, yang memungkinkan pihak berbahaya mengirimkan data jaringan tertentu hingga membuat node Bitcoin kehabisan memori.
Menurut pengungkapan resmi Bitcoin Core, celah ini memengaruhi sistem operasi Windows, macOS, dan BSD yang menggunakan mekanisme pemantauan koneksi berbasis select ().
Masalah muncul ketika node seharusnya menghentikan sementara penerimaan data karena antrean pemrosesannya sudah terlalu besar. Dalam kondisi normal, mekanisme tersebut berfungsi mencegah penggunaan memori secara berlebihan.
Namun, data khusus bernama TCP urgent atau out-of-band memungkinkan pihak yang terhubung sebagai peer melewati pembatasan tersebut. Akibatnya, node terus menerima data tambahan sampai konsumsi memorinya tidak terkendali.
Pengembang menjelaskan bahwa mekanisme ini memungkinkan peer berbahaya menyebabkan node yang terhubung dengannya mengalami crash.
Menariknya, pengguna Bitcoin Core pada sistem operasi Linux tidak terdampak oleh kerentanan tersebut karena menggunakan mekanisme pemantauan koneksi berbeda, yakni poll ().
Celah kedua, CVE-2026-117349, juga berkaitan dengan penggunaan memori, tetapi memiliki mekanisme serangan yang berbeda.
Dalam laporan teknisnya, pengembang menjelaskan bahwa node Bitcoin tetap dapat menambahkan pengumuman transaksi ke antrean pengiriman meskipun komunikasi dengan peer tertentu telah dihentikan sementara.
Pada kondisi normal, koneksi yang tidak merespons pesan pemeriksaan akan diputus setelah sekitar 20 menit. Namun, pembatasan tersebut tidak berlaku bagi peer yang mengaku tidak mendukung mekanisme ping dalam BIP31.
Penyerang dapat memanfaatkan kondisi ini dengan berpura-pura menggunakan protokol lama, kemudian memperlambat penerimaan data sehingga antrean terus bertambah.
Berdasarkan estimasi pengembang, konsumsi memori dapat meningkat hingga 2 MB per jam untuk setiap inbound peer dan 5 MB per jam untuk setiap outbound peer.
Meskipun pertambahannya relatif lambat, kondisi yang berlangsung terus-menerus dapat menguras sumber daya node dan mengganggu operasionalnya.
Kedua kerentanan tersebut dikategorikan memiliki tingkat keparahan sedang atau medium severity.
AI Juga Ungkap Bug Penyimpanan Bitcoin yang Sulit Dieksploitasi
Selain persoalan memori, Project Loupe menemukan celah ketiga yang berkaitan dengan mekanisme penyimpanan data blockchain Bitcoin.
Kerentanan berkode CVE-2026-117346 ini memungkinkan data tertentu yang digunakan ketika blockchain mengalami reorganisasi atau reorg menjadi rusak.
Menurut penjelasan Bitcoin Core, masalah berasal dari pencatatan posisi data dalam berkas undo menggunakan bilangan 32-bit, yang memiliki keterbatasan ketika ukuran berkas meningkat melewati batas tertentu.
Berkas undo sendiri berfungsi menyimpan informasi yang diperlukan node untuk membatalkan perubahan dari blok sebelumnya ketika terjadi reorganisasi blockchain.
Dalam skenario yang sangat spesifik, miner dapat menghasilkan rangkaian blok valid dengan data undo berukuran besar hingga melampaui 4 GiB. Kondisi tersebut berpotensi menyebabkan posisi data melampaui kapasitas pencatatan dan merusak informasi yang sudah tersimpan.
Apabila terjadi reorg pada blok yang terdampak, node dapat gagal membaca informasi yang diperlukan dan akhirnya berhenti beroperasi.
Namun demikian, Bitcoin Core mengategorikan kerentanan tersebut sebagai risiko rendah karena eksploitasi pada sistem 64-bit dinilai tidak praktis.
Penyerang perlu menambang ribuan blok dengan karakteristik khusus, mengatur posisi blok secara tepat, kemudian berhasil menciptakan reorganisasi blockchain dalam kondisi yang sangat terbatas.
Masalah yang lebih langsung dapat terjadi pada sistem 32-bit atau konfigurasi penyimpanan tertentu karena batasan ukuran berkas dapat menyebabkan proses penulisan gagal.
Pengembang telah memperbaiki pencatatan posisi data menggunakan bilangan 64-bit. Akan tetapi, sistem 32-bit dan node yang menyimpan data blok pada sistem berkas FAT32 masih memiliki keterbatasan yang membuatnya tetap terdampak.
Bitcoin Core Rilis Patch, AI Mulai Berperan dalam Keamanan Jaringan
Ketiga kerentanan tersebut sebenarnya ditemukan pada waktu yang berbeda, sebelum akhirnya diumumkan secara bersamaan pada Rabu (28/10/2026).
Project Loupe kali pertama melaporkan persoalan berkas undo pada 8 Juli 2026. Celah antrean memori menyusul pada 15 September, sedangkan masalah TCP urgent ditemukan pada 23 Oktober.
Setelah menerima dan memvalidasi laporan, pengembang Antoine Poinsot mengajukan sejumlah perbaikan pada 26 Oktober. Patch kemudian dimasukkan ke beberapa cabang Bitcoin Core yang masih didukung atau sedang disiapkan untuk pembaruan keamanan.
Versi 31.2 dan 32.1 dirilis pada 27 Oktober, diikuti versi 29.5 dan 30.4 sehari kemudian.
Perkembangan ini melengkapi pembaruan besar Bitcoin Core 32.0 yang sebelumnya dibahas Blockchainmedia, termasuk peningkatan kapasitas koneksi antar-node, efisiensi penyimpanan, dan penguatan privasi transaksi BTC.
Meski demikian, pembaruan keamanan terbaru memiliki urgensi berbeda karena secara khusus menutup kerentanan yang dapat mengganggu ketersediaan dan keandalan node.
Operator yang masih menggunakan versi terdampak disarankan beralih ke rilis pemeliharaan yang telah memuat perbaikan, terutama Bitcoin Core 32.1 sebagai versi mayor terbaru. Sementara itu, sistem 32-bit dan penyimpanan FAT32 memerlukan perhatian tambahan karena belum sepenuhnya terlindungi dari masalah berkas undo.
Peristiwa serupa sebenarnya bukan hal baru. Pada Oktober 2024, Blockchainmedia pernah memberitakan bug Bitcoin Core yang memungkinkan node mengalami crash dari jarak jauh, meskipun mekanisme dan tingkat risikonya berbeda dari temuan terbaru.
Perbedaan penting kali ini terletak pada metode penemuannya. Ketiga celah berhasil diidentifikasi melalui pemindaian berbasis LLM, kemudian diperiksa oleh manusia sebelum ditindaklanjuti pengembang.
Bitcoin Core juga memiliki kebijakan pengungkapan khusus untuk kerentanan yang mudah ditemukan, termasuk menggunakan bantuan LLM. Dalam kasus tersebut, pengembang dapat mempercepat penerbitan perbaikan dan laporan publik tanpa mengikuti seluruh masa penundaan pengungkapan standar.
Temuan Project Loupe menunjukkan bahwa AI mulai memiliki peran nyata dalam proses audit perangkat lunak Bitcoin. Namun, verifikasi manusia dan pengujian perbaikan tetap menjadi bagian penting sebelum sebuah temuan dapat dinyatakan sebagai kerentanan keamanan yang valid.
Di tengah meningkatnya kompleksitas infrastruktur Bitcoin, perkembangan ini sekaligus menunjukkan bahwa keamanan jaringan tidak hanya bergantung pada protokol dasarnya, tetapi juga pada kualitas perangkat lunak yang dijalankan oleh para operator node.
Itulah rangkuman berita kripto hari ini yang bisa kamu simak untuk mengikuti perkembangan dunia aset digital dan teknologi blockchain. Tetap pantau Blockchain Media Indonesia untuk update terbaru seputar pasar kripto, berita bitcoin, hingga panduan belajar crypto untuk kamu yang masih pemula. [st]
Disclaimer: Konten di Blockchainmedia.id hanya bersifat informatif, bukan nasihat investasi atau hukum. Segala keputusan finansial sepenuhnya tanggung jawab pembaca.